Mogen medewerkers klantgegevens in een AI-tool zetten?

Klantgegevens in AI-tools kan, maar niet zomaar

Klantgegevens in een AI-tool zetten is niet bij voorbaat verboden, maar het is wel een verwerking van persoonsgegevens waar dezelfde regels voor gelden als voor elk ander systeem. Voordat gegevens die kant op gaan, is relevant welke grondslag daarvoor bestaat, of het gaat om meer gegevens dan nodig is voor het doel, en — vaak het scherpste punt — wat de aanbieder van de AI-tool met die invoer doet. Veel algemene AI-tools gebruiken input namen wel of niet om hun eigen model te trainen of verbeteren, en dat is een ander doel dan waarvoor de klant zijn gegevens oorspronkelijk gaf.

Dat laatste raakt meteen de doelbinding en de dataminimalisatie uit de AVG: gegevens die voor een klantcontact zijn verzameld, worden niet automatisch geschikt om in een willekeurige AI-tool te plakken. Verwerkt de tool de gegevens namens de organisatie, dan is de aanbieder een verwerker, en hoort daar een verwerkersovereenkomst bij die vastlegt wat er wel en niet met de gegevens gebeurt, waar ze staan, en of ze worden gebruikt voor trainingsdoeleinden. Het is dus geen simpele ja-of-nee-vraag over "AI", maar een vraag die per tool, per instelling en per type klantgegeven verschilt — sommige AI-tools bieden zakelijke varianten aan waarin training op invoer expliciet is uitgeschakeld, andere niet.

Waar dit uit volgt: artikel 5 en 6 AVG

Dat er een grondslag nodig is voor elke verwerking volgt uit artikel 6 van de AVG, en dat gegevens niet verder mogen worden gebruikt dan het doel waarvoor ze zijn verzameld, en niet meer dan nodig, volgt uit de beginselen van doelbinding en dataminimalisatie in artikel 5 van de AVG. De European Data Protection Board publiceert richtsnoeren die specifiek ingaan op de omgang met persoonsgegevens bij AI-systemen, en die geven verdere duiding bij vragen zoals training op invoergegevens en de rol van de aanbieder als verwerker.